 
Direction des centrales nucléaires DEP- DCN - 314 - 2007 Fontenay-aux-Roses, le 25 juin 2007 Monsieur le directeur du Centre d'expertise et d'inspection dans les domaines de la réalisation et de l'exploitation ELECTRICITE DE FRANCE 2 rue Ampère 93 206 SAINT DENIS CEDEX
Objet : Contrôle des installations nucléaires de base Inspection n° INS-2007-EDFCEIDRE-0001 Thème : Contrôle commande Site CEIDRE Saint-Denis Monsieur le directeur, Dans le cadre de la surveillance des installations nucléaires de base prévue à larticle 11 du décret n° 63-1228 du 11 décembre 1963 modifié, une inspection sur le thème "contrôle commande" s'est déroulée le 15 février 2007 dans le service système électrique, département étude, du Centre d'expertise et d'inspection dans les domaines de la réalisation et de l'exploitation (CEIDRE) de la division ingénierie nucléaire (DIN), localisé à Saint-Denis. 

Jai lhonneur de vous communiquer ci-dessous la synthèse de linspection ainsi que les principales demandes et observations qui en résultent. 

## Synthèse De Linspection

Des exemples passés ont fait apparaître la nécessité d'apporter des compléments au processus d'examen par l'ASN des modifications logiciels, notamment pour permettre de disposer des informations nécessaires à leur examen dans des délais compatibles avec leurs déploiements industriels. 

Des échanges entre l'ASN et EDF ont abouti à la définition d'un processus d'instruction des modifications de logiciels (réf. DEP DCN 638-2006). L'objectif de l'inspection était d'examiner l'organisation mise en place par EDF et plus spécifiquement par le CEIDRE, pour réaliser, au cours de ce processus, la surveillance du développement des modifications de logiciels importants pour la sûreté. 

Dans un premier temps, le CEIDRE a présenté l'organisation mise en place pour assurer ses missions de surveillance auprès des centres d'ingénierie d'EDF (CNEN, CIPN) ainsi que son système de cursus habilitant des ingénieurs en charge de ces activités de surveillance. 

Les inspecteurs ont reconnu l'important travail réalisé par le CEIDRE sur le sujet en quelques années avec, en particulier, la création de 13 guides d'inspection sur la surveillance des activités de conception et de test du logiciel tout au long du cycle de développement de celui-ci. Les inspecteurs ont réalisé une revue par sondage de ces guides. Enfin, l'application du processus de surveillance sur une affaire en cours d'instruction a été présenté : il s'agit de la modification du logiciel version 5 de l'automate CO3 (V5 CO3) réalisée dans le cadre de la première visite décennale des réacteurs du palier N4. 

Il n'a pas été fait de constat notable au cours de l'inspection. Cependant, les inspecteurs ont relevé que des efforts restent à faire en matière de formalisation d'une part, au niveau du dossier de qualification individuelle des ingénieurs d'étude en charge des activités de surveillance du développement des logiciels et d'autre part, au niveau du contenu des guides d'inspection qui ne décrivent pas précisément l'acte de surveillance ou d'inspection réalisé. Par ailleurs, les inspecteurs ont souligné qu'un axe de progrès pour le CEIDRE sera la définition d'une évaluation de la couverture des tests. Ils ont regretté que le CEIDRE ne se positionne pas sur des choix d'architecture ou de conception logiciel qui s'apparentent à des bonnes pratiques sans toutefois être réglementaires. 

## I. Demandes Dactions Correctives

Le CEIDRE a mis en place un système de cursus habilitant qui permet aux ingénieurs d'étude de réaliser des activités de surveillance lors du développement des logiciels importants pour la sûreté. Une partie de ce cursus est basée sur le compagnonnage. Il s'avère qu'il n'y a pas de traçabilité de ce compagnonnage dans les dossiers de qualification des ingénieurs. 

A.1. Je vous demande de tracer les activités de compagnonnage dans le dossier de qualification individuelle des ingénieurs concernés.

Lors de la vérification des guides renseignés pour la modification logiciel V5 CO3 des réacteurs du palier N4, les inspecteurs ont noté que le niveau d'exigence imposé par le CEIDRE n'est pas tracé de manière formelle. Les actes ou actions de surveillance à réaliser et figurant dans un guide sont assez synthétiques. Si un problème apparaît, sa description et les mesures correctives ou compensatoires prises et correctement tracées permettent d'avoir une idée sur la profondeur de l'instruction réalisée. S'il n'y a pas de problème, il est difficile, au travers des informations tracées dans les guides, de savoir quelle action de contrôle a été réellement réalisée. Les réponses apportées en réunion par les ingénieurs d'études chargés de la surveillance des logiciels ont permis aux inspecteurs de mieux cerner ces actions. Néanmoins cet état de fait soulève deux interrogations : la première concerne la pérennité et le maintien des compétences au sein du service (en particulier en cas de mobilité des agents), la deuxième concerne l'homogénéité de la surveillance réalisée par des personnes différentes. 

A.2. Je vous demande de statuer sur une éventuelle évolution des guides d'inspection vers un niveau de détail plus important, en particulier par une description plus précise des actes de surveillance ou d'inspection à réaliser pour chaque item d'un guide. 

## Ii. Compléments Dinformation

Lors de la présentation de la surveillance réalisée pour la version V4 de l'automate CO3 des réacteurs du palier N4, les inspecteurs ont noté que certains choix de conception, comme la décision de dupliquer la fonction "Vagabond" du module UTP ou la décision de ne pas corriger des anomalies de programmation sans impact sur la sûreté, n'ont pas amené de réaction de la part du CEIDRE. 

Bien que l'absence d'impact sur la sûreté ait été vérifiée dans ces deux cas, les bonnes pratiques de programmation ne sont pas respectées. 

B.1. Je vous demande de me préciser si une évolution de vos pratiques pourrait intégrer la formulation d'avis sur le respect des bonnes pratiques de programmation. 

Vous voudrez bien me faire part de vos observations et réponses concernant ces points dans un délai qui nexcèdera pas deux mois. Pour les engagements que vous seriez amené à prendre, je vous demande de bien vouloir les identifier clairement et den préciser, pour chacun, léchéance de réalisation. 

Je vous prie dagréer, Monsieur le Directeur, lexpression de ma considération distinguée. 

4